本文详解 Clash 添加 Windows Defender 白名单步骤，解析 TUN 模式与分流规则，解决因杀毒软件拦截导致的连接中断问题。
核心冲突：为何必须配置白名单
在 Windows 环境下部署 Clash 时，最常见的故障并非配置错误，而是系统安全策略的误杀，Windows Defender 作为系统内置防护机制，会对未签名的可执行文件或高频网络行为进行拦截，当 Clash 内核尝试接管网络流量或修改路由表时，若未被信任，进程将被静默终止或网络包被丢弃。Clash 添加 Windows Defender 白名单是确保跨境办公需求下网络稳定性的首要前提。
操作步骤：精准排除干扰
执行 Clash 添加 Windows Defender 白名单 需严格遵循以下路径，确保内核与配置文件均获豁免：
-
定位安装目录 右键点击 Clash 客户端快捷方式，选择“打开文件所在位置”，通常位于
C:\Program Files\Clash Verge或用户自定义目录，记录该文件夹完整路径。 -
进入防御设置 点击任务栏盾牌图标打开"Windows 安全中心”，依次进入“病毒和威胁防护” -> “管理设置”，向下滚动找到“排除项”，点击“添加或删除排除项”。
-
添加文件夹豁免 选择“添加排除项” -> “文件夹”，选中第一步中记录的 Clash 安装目录，此操作将允许该目录下所有文件（包括 clash-meta 内核、config.yaml 及日志文件）免受实时扫描。
-
验证进程状态 重启 Clash 客户端，观察托盘图标是否正常亮起，若仍无法连接，需在“防火墙和网络保护”中允许应用通过防火墙，勾选“专用”与“公用”网络。
技术深潜：TUN 模式与代理组逻辑
完成白名单设置后,理解流量接管机制至关重要，Clash 提供两种主要模式：
- 系统代理模式：仅接管浏览器的 HTTP/HTTPS 流量，适用于仅需网页浏览的场景，但无法处理 UDP 流量（如游戏、QUIC 协议）。
- TUN 模式：创建虚拟网卡，接管系统层级所有流量（TCP/UDP），这是实现全局加速的关键，但需要内核拥有更高的系统权限，这也是为何 Clash 添加 Windows Defender 白名单 如此重要的原因——防止虚拟网卡驱动被拦截。
在配置文件中,代理组（Proxy Group）决定了流量分配策略：
- select：手动切换节点，适合对特定线路有明确需求的用户。
- url-test：自动测试延迟并连接最快节点，适合日常浏览。
- fallback：主节点故障时自动切换备用，保障高可用性。
proxy-groups:
- name: "自动优选"
type: url-test
proxies: ["节点 A", "节点 B", "节点 C"]
url: "http://www.gstatic.com/generate_204"
interval: 300
- name: "故障转移"
type: fallback
proxies: ["高速专线", "备用线路"]
分流规则方面,Clash 依据优先级匹配：DOMAIN > DOMAIN-SUFFIX > IP-CIDR > GEOIP，合理的规则集能确保国内流量直连，仅将学术资源访问等国际流量送入代理通道。
常见故障排查 (FAQ)
现象：开启 TUN 模式后立刻断网。 原因：虚拟网卡驱动未通过签名验证或被 Defender 拦截。 解决方法：重新执行 Clash 添加 Windows Defender 白名单 操作，并以管理员身份重启客户端。
现象：部分软件无法联网，浏览器正常。 原因：该软件未遵循系统代理设置，且未开启 TUN 模式。 解决方法：启用 TUN 模式，或在该软件内手动配置代理地址为 127.0.0.1:7890。
现象：CPU 占用率异常高。 原因：规则集过大或节点延迟测试频率过高。 解决方法：精简 Rule Provider，将 url-test 的 interval 调整为 600 秒以上。
节点选择与订阅维护
稳定的客户端配置需搭配优质的网络节点,对于 4K 流媒体，需选择带宽大于 50Mbps 的专线；对于实时竞技游戏，则应优先选择延迟低于 100ms 且丢包率为 0 的 IPLC 线路，避免使用免费节点，其不稳定性极易触发 Windows 的安全警报，导致反复被隔离。
建议通过可靠的订阅转换工具（SubConverter）将通用链接转为 Clash YAML 格式，以便利用上述代理组策略进行智能调度，若您当前使用的节点频繁波动，可考虑更新订阅源以获取更稳定的国际网络加速服务。
Clash 添加 Windows Defender 白名单 并非一次性任务，而是维护高效网络环境的基石，配合科学的节点筛选与模式配置，方能满足复杂的跨境办公与资源访问需求。
